Czy serwer WWW w strefie DMZ powinien mieć dostęp do MSSQL w sieci LAN?

To powinno być bardzo podstawowe pytanie i starałem się je zbadać i nie mogłem znaleźć solidnej odpowiedzi.

Załóżmy, że masz serwer WWW w DMZ i serwer MSSQL w sieci LAN. IMO i to, co zawsze uważałem za poprawne, polega na tym, że serwer sieciowy w strefie DMZ powinien mieć dostęp do serwera MSSQL w sieci LAN (być może trzeba by otworzyć port w zaporze ogniowej, to byłoby ok IMO).

Nasi koledzy z sieci mówią nam teraz, że nie możemy mieć dostępu do serwera MSSQL w sieci LAN z DMZ. Mówią, że wszystko w strefie DMZ powinno być dostępne tylko z sieci LAN (i sieci) oraz że strefa DMZ nie powinna mieć dostępu do sieci LAN, podobnie jak sieć nie ma dostępu do sieci LAN.

Więc moje pytanie brzmi: kto ma rację? Czy DMZ powinien mieć dostęp do / z sieci LAN? Lub, czy dostęp do sieci LAN z DMZ powinien być surowo zabroniony. Wszystko to zakłada typową konfigurację DMZ.

Prawidłowe bezpieczeństwo sieci stwierdza, że ​​serwery DMZ nie powinny mieć dostępu do sieci „Zaufanej”. Zaufana sieć może dostać się do DMZ, ale nie na odwrót. W przypadku serwerów internetowych z kopią zapasową, takich jak Twoja, może to stanowić problem, dlatego serwery baz danych kończą się w strefach DMZ. Tylko dlatego, że znajduje się w strefie DMZ, nie oznacza, że ​​MUSI mieć dostęp publiczny, zewnętrzna zapora sieciowa może nadal uniemożliwiać wszystkim dostęp do niej. Jednak sam serwer DB nie ma dostępu do sieci.

W przypadku serwerów MSSQL prawdopodobnie potrzebujesz drugiej strefy DMZ ze względu na potrzebę rozmowy z AD DC w ramach jej normalnego funkcjonowania (chyba że używasz kont SQL zamiast zintegrowanych z domeną, w którym to momencie jest to dyskusja). Druga strefa DMZ byłaby domem dla serwerów Windows, które potrzebują pewnego rodzaju publicznego dostępu, nawet jeśli są najpierw proxy przez serwer WWW. Ludzie zajmujący się bezpieczeństwem sieci stają się słabi, gdy uważają, że domeniczne maszyny uzyskujące dostęp publiczny uzyskują dostęp do kontrolerów domeny, co może być trudne. Jednak Microsoft nie pozostawia dużego wyboru w tej kwestii.

Teoretycznie jestem z chłopakami z sieci. Każde inne ustawienie oznacza, że ​​gdy ktoś naruszy serwer WWW, ma drzwi do Twojej sieci LAN.

Oczywiście rzeczywistość musi odgrywać pewną rolę - jeśli potrzebujesz danych na żywo dostępnych zarówno z DMZ, jak i LAN, naprawdę masz niewiele opcji. Prawdopodobnie sugerowałbym, że dobrym kompromisem byłaby „brudna” wewnętrzna podsieć, którą mogłyby żyć serwery takie jak serwer MSSQL. Ta podsieć byłaby dostępna zarówno z DMZ, jak i LAN, ale byłaby zaporą ogniową uniemożliwiającą inicjowanie połączeń z LAN i DMZ.

Jeśli wszystko, co przepuszczasz przez zaporę, to połączenia SQL z serwera DMZ do serwera MS-SQL, nie powinno to stanowić problemu.

Publikuję swoją odpowiedź, ponieważ chcę zobaczyć, jak głosowała ...

Serwer WWW w strefie DMZ powinien mieć dostęp do serwera MSSQL w sieci LAN. Jeśli nie, to jak proponujesz uzyskać dostęp do serwera MSSQL w sieci LAN? Nie mogłeś!